linux tomcat ssl

在Linux环境下为Tomcat配置SSL证书是实现HTTPS加密访问的重要步骤，这一过程涉及证书获取、环境配置、Tomcat设置等多个环节，以下将从准备工作、证书配置、优化验证及常见问题四个方面,详细阐述完整的操作流程。

准备工作

在开始配置前，需确保系统已安装Java运行环境（JRE）和Tomcat服务器，并通过java -version与$CATALINA_HOME/bin/version.sh命令验证版本兼容性，需准备有效的SSL证书，可通过权威证书颁发机构（CA）如Let’s Encrypt获取免费证书，或使用Java自带的keytool工具生成测试证书，若使用第三方证书，需确保证书文件包含完整的证书链（包含中间证书和根证书），通常以.crt或.pem格式提供。

证书导入与配置

证书格式转换

若证书为非JKS格式（如PEM格式），需使用keytool将其转换为Tomcat支持的JKS格式，以PEM证书为例,执行以下命令：

keytool -importkeystore -srckeystore server.crt -destkeystore tomcat.keystore -srcstoretype PEM -deststoretype JKS

过程中需设置密钥库密码（建议使用复杂密码），并导入证书链文件（若存在）。

服务器密钥对生成

若使用自签名证书,需先生成密钥对：

keytool -genkeypair -alias tomcat -keyalg RSA -keystore tomcat.keystore -validity 365 -storepass changeit -keypass changeit

根据提示填写证书信息（如域名、组织单位等），生成的tomcat.keystore文件将存放于Tomcat的conf目录下。

server.xml配置

编辑Tomcat的conf/server.xml文件，定位<Connector>节点,添加或修改SSL相关配置：

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
           maxThreads="150" scheme="httpss" secure="true"
           keystoreFile="conf/tomcat.keystore" keystorePass="changeit"
           keyAlias="tomcat"
           clientAuth="false" sslProtocol="TLS" />

关键参数说明：keystoreFile指定密钥库路径，keystorePass为密钥库密码，keyAlias为证书别名，sslProtocol建议使用TLSv1.2或更高版本，若证书包含中间证书，需通过truststoreFile与truststorePass配置信任库。

配置优化与验证

启用HTTP/2

为提升性能，可在Connector中添加useSendfile="false"与compression="on"，并指定HTTP/2支持：

sslEnabledProtocols="TLSv1.2,TLSv1.3"
ciphers="TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"

重启Tomcat与验证

保存配置后，执行$CATALINA_HOME/bin/shutdown.sh与$CATALINA_HOME/bin/startup.sh重启服务，通过浏览器访问https://localhost:8443，若地址栏显示安全锁图标，则配置成功，使用openssl s_client -connect localhost:8443命令可进一步验证证书详情：

openssl s_client -connect localhost:8443 -showcerts

检查输出中的证书链是否完整,协议版本是否符合预期。

常见问题与解决方案

1. 证书链不完整：浏览器可能提示“证书不可信”，需确保server.xml中导入了完整的证书链,或将中间证书与服务器证书合并为单个文件。
2. 端口冲突：若8443端口被占用，可修改port参数为其他未被占用的端口（如9443）,并确保防火墙开放相应端口。
3. 密码错误：密钥库密码或证书密码错误会导致启动失败，需检查keystorePass与keyAlias对应的密码是否正确。
4. 协议兼容性：旧版客户端可能不支持TLSv1.2，可通过sslEnabledProtocols参数添加TLSv1.1,但建议逐步淘汰不安全协议。

通过以上步骤，即可在Linux环境下完成Tomcat的SSL配置，生产环境中建议使用权威CA签发的证书，并定期更新证书有效期，同时结合Nginx等反向代理实现负载均衡与SSL卸载,进一步提升服务安全性与性能。